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C^l (57) Abstract: Disclosed is a protective device for a vehicle, which can be deactivated by means of a switch (1). The status of said 
switch can be evaluated by a processor in a control unit (4) and an independent hardware path which comprises at least one logic 



module that creates a high degree of flexibility for adjusting delay times. 



[Fortsetzung auf der ndchsten SeiteJ 
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(57) Zusammenfassung: Es wird eine Schutzeinrichtung fur ein Fahrzeug vorgeschlagen, die durch einen Schalter (1) deaktivierbar 
ist, wobei der Zustand des Schalters (1) zum einen durch einen Prozessor in einem Steuergerat (4) und zum anderen durch einen 
unabhangigen Hardwarepfad auswertbar ist Der unabhangige Hardwarepfad wenigstens eine logische Baugruppe auf, die eine hohe 
Flexibility beim Einstellen von VerzSgerungszeiten ermSglicht 
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Schutzeinrichtung fur ein Fahrzeug 
Stand der Technik 

Die Erfindung geht aus von einer Schutzeinrichtung fur ein Fahrzeug nach der Gattung 
des unabhangigen Patentanspruchs. 

Aus der Offenlegungsschrift DE 199 60 179 Al ist eine Sicherheitseinrichtung fur 
Kraftfahrzeuge bekannt. Dabei weist das Kraftfahrzeug einen oder mehrere Airbags auf, 
die uber Schaltmittel deaktivierbar sind. Die Schaltmittel sind dabei in Form eines 
Deaktivierungsschalters ausgebildet. 

Vorteile der Erfindung 

Die erfindungsgemaBe Schutzeinrichtung fur ein Fahrzeug mit den Merkmalen des 
unabhangigen Patentanspruchs hat demgegenuber den Vorteil, dass zum einen neben der 
Auswertung der Schalterstellung durch einen Prozessor auch noch ein weiterer, 
unabhangig vom Prozessor arbeitender Baustein zur Auswertung der Schalterstellung 
vorliegt. Damit liegt eine hardwaren&Bige Redundanz vor. Vorteilhafterweise weist 
dieser Baustein wenigstens eine logische Baugruppe zu seiner Funktion auf. Durch die 
Verwendung solcher logischer Baugruppen ist es moglich, zeitvariante Losungen beliebig 
langen Verzogerungs- bzw. Haltzeiten fur den logischen Zustand des Bausteins 
vorzusehen. Durch die Verwendung von logischen Bausteinen spielen dann Toleranzen 
keine Rolle mehr. Durch die Verwendung von logischen Bausteinen sind auch groBe 
Verzbgerungs- und Haltezeiten von ein paar hundert Millisekunden leicht realisierbar. 
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Durch die in den abhSngigen Anspriichen aufgefiihrten MaBnahmen und Weiterbildungen 
sind vorteilhafte Verbesserungen der im unabhangigen Patentanspruch angegebenen 
Schutzvorrichtung fiir ein Fahrzeug moglich. 

Besonders vorteilhafl ist, dass die wenigstens eine logische Baugruppe als Gatter 
und/oder als Flip-Hop ausgebildet ist. Dabei kann eine Kombination von verschiedenen 
Gattern und Flip-Hops vorgesehen sein, urn die entsprechenden langen Verzogerungs- 
bzw. Haltezeiten des logischen Zustands des Bausteins zu ermoglichen. Es ist damit 
insbesondere ein sogenanntes Einfrieren des logischen Ergebnisses moglich. 

Weiterhin ist es von Vorteil, dass die wenigstens eine logische Baugruppe derart 
konfiguriert ist, dass ein zeitliches Verhalten des logischen Zustands der logischen 
Baugruppe veranderbar ist. Dies kann insbesondere durch den Prozessor vorgenonnnen 
werden, der jedoch keinen Einfluss auf die Auswertung des Bausteins des Signals vom 
Schalter nimmt. Das zeifliche Verhalten bezeichnet hier die Verzogerungs- und 
Haltezeiten des logischen Zustands. 

Weiterhin ist es von Vorteil, dass der Schalter entweder als ein Widerstandsnetzwerk 
oder als wenigstens ein Hallsensor ausgebildet ist. Dies sind zwei zuverlassige 
Schaltungskonzepte fiir einen Schalter. 

Daruber hinaus ist es von Vorteil, dass die Energieversorgung des Schalters entweder aus 
dem Steuergerat, beispielsweise fur die Riickhaltesysteme, also der Schutzvorrichtung, 
vorgesehen ist, oder dass eine externe Energieversorgung des Schalters bereit gestellt 
wird, die eine direkte Verbindung zur Fahrzeugbatterie ermoglicht. 

SchlieBhch ist es auch von Vorteil, dass ein UND-Gatter vorgesehen ist, das ein Signal 
des Bausteins und des Prozessors miteinander verknupft, so dass nur bei einer logischen 
Eins beider Eingange ein neues Ausgangssignal des Bausteins weitergeleitet wird. 



Zeichnung 



Ausfuhrungsbeispiele der Erfindung sind in der Zeichnung dargestellt und werden in der 
nachfolgenden Beschreibung naher erlautert. 
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Es zeigen 



Figur 1 



Figur2 



ein erstes Blockschaltbild der erfindungsgemaBen Schutzeinrichtung 
und 

ein zweites Blockschaltbild der erfindungsgemaBen Schutzeinrichtung. 



Beschreibung 

Es wird heutzutage in Fahrzeugen die M5glichkeit angeboten, den Beifahrerairbag bzw. 
hintere Seitenairbags durch einen Schalter zu deaktivieren, also durch einen Airbag- 
Deaktivierungsschalter. Dazu wird die Stellung eines beispielsweise Schlusselschalters 
vom Airbagsteuergerat ausgewertet. Zur Realisierung des Schalters sind unterschiedliche 
Konzepte mSglich. Gebrauchlich sind hierbei Schalter mit Widerstandsnetzwerken, bei 
denen der Schalter zwischen zwei verschiedenen Widerstandsteilern umschaltet und 
Schalter, die aus ein oder zwei Hallsensoren bestehen. Diese werden dann kontaktlos 
geschaltet, was eine hohe mechanische Robustheit mit sich bringt. 

Da die Funktion der Airbagdeaktivierung sicherheitskritisch ist, wird iiblicher Weise die 
Auswertung im Airbagsteuergerat redundant ausgelegt. Ublich ist die Auswertung der 
Schalterstellung und Aktivierung bzw. Deaktivierung des oder der Airbags per Software 
und die Auswertung tiber einen vom Mikrokontroller unabhangigen Hardwarepfad. 
Abhangig von der Schalterstellung aktiviert bzw. Deaktiviert dieser Hardwarepfad oder 
Baustein die entsprechenden Rtickhaltemittel-Zundkreise fiir Airbags, Gurtstraffer oder 
andere Ruckhaltemittel, wie beispielsweise ein elektromagnetisches Ventil fur einen 
tiberrollbiigel zusatzlich hardwaremaBig. Dabei wird sichergestellt, dass auch bei einem 
defekten Mikrokontroller keine fehlerhafte Auslosung der entsprechenden Ziindkreise 
mdglich ist. 

Der dazu notwendige Hardwarepfad bzw. Bausteine muss folgende Funktion erfullen: 

- Auswertung der Signalleitungen des Deaktivierungsschalters 

- Signalfilterung 

- Signalverarbeitung 

- Fehlererkennung und -behandlung, also bei einem Defekt des Schalters, Abriss der 
Batterieversorgung, 
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- Festlegung von Default-Zustanden nach dem Einschalten 

- Definition des Zeitverhaltens: Timeouts, Haltezeiten und Verzogerungen 

- Aktivierung bzw. Deaktivierung der defmierten Ziindkreise per Hardwareeingriff 

- Verhalten beim Ausschalten des Airbagsteuergerats. Hierbei ist zu beachten, dass das 
Steuergerat nach dem Abschalten der Batterieversorgung noch einige Zeit Energie aus 
der eigenen Energiereserve schopft. 



Mogliche Losungen fiir diesen Baustein im Airbag-Steuergerat bestehen aus diskreten 
Schaltungen mit Operationsverstarkern und/oder Komparatoren zur Verarbeitung der 
jeweiligen Eingangssignale der Airbagdeaktivierungsschalter und zur Ansteuerung 
geeignete Aktivierungs- und Deaktivierungsschaltungen. 

Die Aktivierung bzw. Deaktivierung der Ruckhaltemittel kann auf verschiedene Weise 
erfolgen: 

- Ein- bzw. Ausschalten der Versorgungsspannung der jeweiligen Ziindkreis-ICs 

- Ein- bzw. Ausschalten der Ziindspannungsversorgung fiir die entsprechenden 
Ziindkreise 

- Auftrennen der Ziindkreise, KurzschlieBen der Ziindkreise nach Masse oder 
KurzschlieBen der Ziindpille 

- Eingriffe in die logische Ansteuerung der Ziindkreise in oder am Ziindkreis-IC 

Die Signalfilterung und das Zeitverhalten der Schaltung im Normalbetrieb wie auch im 
Fehlerfall werden dabei durch geeignete Schaltungselemente realisiert. M5glich sind hier 
RC-Glieder, die jedoch Nachteile aufweisen. Zu solchen Nachteilen zahlen eine zeitliche 
Invarianz, d.h. es ist nur ein bestimmtes Zeitverhalten moglich, keine Unterscheidung 
verschiedener Betriebszustande ist moglich. Es liegen relativ groBe Toleranzen vor. Die 
Dimensionierung, Verfiigbarkeit sowie die BaugroBe von Widerstanden und Kapazitaten 
ist beschrankt, insbesondere sind Verzbgerungs- und Haltezeiten grSBer als ein paar 
hundert Millisekunden nur sehr schlecht moglich. 

ErfindungsgemaB wird daher der redundante Hardwarepfad durch die Verwendung von 
logischen Baugruppen realisiert. Zu solchen logischen Baugruppen zahlen Gatter und 
Flip-Flops, also Multivibratorschaltungen. Damit lassen sich zeitvariante Losungen mit 
beliebig langen Verzogerungs- bzw. Haltezeiten darstellen. Dabei kann der 
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Mikrokontroller oder Prozessor die zeitliche Steuerung der Logikbaugruppen 
ubernehmen. Der Prozessor hat dabei jedoch nur die Mdglichkeit, das zeitliche Verhalten 
des Bausteins zur Auswertung des Zustands der Akbagdeaktivierungsschalter zu steuern, 
nicht aber den Zustand der Ruckhaltemittelaktivierung bzw. -deaktivierung. Dies ist 
wichtig, um das Konzept der Redundanz zu wahren. 

Figur 1 zeigt in einem ersten Blockschaltbild die erfindungsgemaBe Schutzeinrichtung. 
Die erfindungsgemafie Schutzeinrichtung weist einen Airbagdeaktivierungsschalter 1 und 
ein Airbagsteuergerat 4 auf, die miteinander verbunden sind. Der 
Airbagdeaktivierungsschalter 1 weist hier zwei Hallsensoren 2 und 3 auf, die an einer 
Elektrode zusammengeschaltet sind und dort vom Steuergerat 4 und einem 
Strombegrenzer 6 die Energie erhalten. Der Strombegrenzer 6 wird selbst von der 
Batteriespannung 5 versorgt. Auf der anderen Seite ist der Hallsensor 2 mit zwei 
Komponenten des Steuergerats 4 verbunden. Zum einen mit einem Baustein 7, der die 
Spannungsversorgung, Kommunikationsschnittstellen und analogen Eingange umfasst, 
sowie ein Analog-Digital-Wandler. Zum anderen mit einem Baustein 8, der das Signal 
des Hallsensors 2 verarbeitet und bewertet. Hier gabelt sich also die Verarbeitung der 
Sensorsignale in zwei Pfade. Zum einen wird iiber den Baustein 7 das digitalisierte 
Hallsignal zum Mikrokontroller 9 ubertragen, der dieses verarbeitet um zu erkennen, ob 
der Deaktivierungsschalter betatigt wurde oder nicht. Parallel dazu flihrt dies auch der 
Baustein 8 durch, wobei auch der Baustein 8 Zugang zu einem Analog-Digital-Wandler 
hat, um auch hier eine digitale Auswertung durchflihren zu konnen. Auch die andere 
Elektrode des Hallsensors 2 ist zum einen an den Baustein 7 und zum anderen an den 
Baustein 8 angeschlossen, um auch hier die redundante Verarbeitung der 
Hallsensorsignale zu ermoglichen. 

Entsprechend der Schalterstellung des Deaktivierungsschalters 1 aktiviert bzw. deaktviert 
der Prozessor 9 die Auslosung der Ruckhaltemittel per Software. Im Baustein 8 erfolgt 
die Filterung und die Auswertung von einem oder beiden Hallsensorsignalen. Daraus 
erfolgt dann die hardwaremaBige Ansteuerung des Sicherheitshalbleiters 13 zur 
Aktivierung bzw. Deaktivierung der entsprechenden Ziindkreise. Dazwischen ist jedoch 
noch der Block 10 und auch der Block 1 1 geschaltet. Der Block 10 ennoglicht die 
Aktivierung der Airbagztindkreise abhangig vom Status des Deaktivierungsschalters und 
verkniipft dies mit einer zusStzlichen Freigabe durch den Prozessor 9. Damit ist es 
moglich, die Airbagendstufen 12 erst durch den Prozessor 9 freizugeben, wenn 
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tatsachlich in einem Crashfall eine Auslosung stattfinden soli. Unabhangig davon, ob der 
Deaktivierungsschalter auf der Stellung "Ein" bzw. "Aus" steht. Durch den Block 10 hat 
der Mikrokontroller 9 jedoch nur die Moglichkeit, die Endstufen 12 tiber den 
Sicherheitshalbleiter 13 zu aktivieren, wenn auch der Deaktivierungsschalter 1 in der 
Stellung "Ein" ist. Steht der Deaktivierungsschalter 1 auf "Aus", so sind die Endstufen 12 
jedoch unabhangig von der Prozessor-Enable-Leitung zum Block 10 deaktiviert. Vor 
allem bei Airbagsteuergeraten mit einer Gleichstxomzundung stellt diese Funktion einen 
zusatzlichen Schutz gegen Fehlauslosung bei Defekten im Endstufen-IC 12 dar. 
Alternativ ist es moglich, den Block 10 weg zu lassen. Das Ausgangssignal des Blocks 10 
geht an einen Block 11, der eine logische Schaltungseinheit darstellt, die beispielsweise 
mittels Flip-Flops realisiert werden kann. Dieser Block ennoglicht eine Speicherung bzw. 
ein Einfrieren des Deaktivierungsschalters-Zustands. Die Speicherung ist dabei fluchtig, 
d.h. sie bleibt beim Ausschalten des Airbag-Steuergerats nicht erhalten. Der Prozessor 9 
hat die Moglichkeit zu steuern, ob der logische Zustand des Sicherheitshalbleiters 13 und 
damit die Aktivierung bzw. Deaktivierung der entsprechenden Airbagziindkreise 15 bis 
18 eingefroren wird und damit von eventuellen Schalterstellungsanderungen des 
Deaktivierungsschalters 1 unabhangig wird, oder ob jede Anderung der Schalterstellung 
unmittelbar zu einer Aktivierung bzw. Deaktivierung der Airbagzundkreise 15 bis 18 
fUhrt. Wichtig hierbei ist wiederum, dass der Prozessor 9 nur die Moglichkeit hat, den 
Zustand des Sicherheitshalbleiters 13 einzufrieren, aber keinen Einfluss auf den Zustand 
selbst ausuben kann. Durch dieses Konzept einer logischen Speicherung bzw. Einfrieren 
des Zustands des Hardwarepfads ergeben sich vielfaltige und sehr flexible Moglichkeiten 
zur Steuerung der Auswertung des Deaktivierungsschalters 1: 

- beliebige Halte- bzw. Verzogerungszeiten sind moglich 

- der Zustand des Hardwarepfads kann im Fehler-, Energiereserve- oder Crashfall 
eingefroren werden 

- es ist moglich zu steuern, ob der Zustand des Deaktivierungsschalters 1 nur einmal zu 
Beginn eines Einschaltzyklus eingelesen und ilbernommen wird, oder ob eine Anderung 
der Schalterstellung zu jedem beliebigen Zeitpunkt zulassig ist. 

Der Block 11 ist dann wie gesagt an den Sicherheitshalbleiter 13 angeschlossen, der 
einerseits mit der Energiereserve 14 verbunden ist und andererseits mit den Endstufen 12. 
Die Energiereserve 14 ist ublicher Weise wenigstens ein Kondensator, der beim AbreiBen 
der Verbindung zur Batterie fiir eine gewisse Zeit eine Energie zur Weiterarbeit 
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bereitstellt. Der Prozessor 9 ist tiber einen Datenausgang mit den Endstufen 12 direkt 
verbunden, urn softwaremaBig diese anzusteuern. Die Endstufen 12 sind mit den 
Ziindkreisen 15 bis 18 jeweils verbunden. Der Prozessor 9 ist selbst, wie oben dargestellt, 
uber eine Enable-Leitung mit dem Block 10 verbnnden, umhier eine UND-Verkniipfung 
herzustellen und auch mit dem Block 1 1, urn das Zeitverhalten zu beeinfiussen, wie es 
oben dargestellt wurde. 

Bei dem Sicherheitshalbleiter 13 handelt es sich iiblicherweise urn einen 
Transistorschalter. 

Die erfindungsgemaBe Schutzeinrichtung hat den Vorteil, dass sie unabhangig von der 
Ausfuhrungsform des Deaktivierungsschalters 1 ist, d.h. es ist egal, ob es sich urn ein 
Widerstandsnetzwerk oder ein oder zwei Hallsensoren handelt. Weiterhin ist sie 
unabhangig von der Art der Versorgung des Deaktivierungsschalters 1. Sie ist auch 
unabhangig davon, ob der Hardwarepfad nur einen Hallsensor bzw. ein 
Widerstandsnetzwerk oder zwei bzw. mehrere Hallsensoren bzw. Widerstandsnetzwerke 
auswertet. Sie ist weiterhin unabhangig von der Art der zu deaktivierenden 
Ruckhaltemittel. Die Erfindung ist auch unabhangig von der Art der Deaktivierung der 
Riickhaltemittel, also ob es sich urn ein Ein- und Ausschalten der Versorgungsspannung 
der jeweiligen Zundkreis-IC's oder der Ziindspannungsversorgung oder einem Auftrennen 
der Ziindkreise bzw. einem KurzschlieBen der Ziindkreise bzw. einem Eingriff in die 
logische Ansteuerung der Ziindkreise handelt. Die Erfindung ist auch unabhangig davon, 
ob das Einlesen der Stellung des Deaktivierungsschalters 1 im Softwarepart Uber einen 
separaten IC erfolgt oder direkt durch den Mikrokontroller, d.h. es liegt ein A/D-Wandler 
im Mikrokontroller selbst vor. Die Reihenfolge der Blocke 10 und 11 kann auch 
vertauscht werden. 

Figur 2 zeigt ein zweites Blockschaltbild der erfindungsgemaBen Schutzeinrichtung. Der 
Deaktivierungsschalter 19 und das Steuergerat 21 weisen die gleichen Elemente auf, bis 
auf die Energieversorgung des Deaktivierungsschalters 19. Eine Strombegrenzung 20 
bzw. Sicherung ist nun direkt beim Deaktivierungsschalter 19 angeordnet und sorgt so fur 
eine externe Versorgung des Deaktivierungsschalters. Die iibrigen Elemente sind genau 
so wie in Figur 1 bezeichnet und angeordnet. 
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Patentanspriiche 

1. Schutzvorrichtung fur ein Fahrzeug, wobei die Schutzvorrichtung durch einen 
Schalter (1, 19) deaktivierbar ist, dadurch gekennzeichnet, dass eine 
Schalterstellung durch einen Prozessor (9) und durch einen weiteren Baustein (8) 
unabhangig von einander tiberpriifbar ist, wobei der weitere Baustein (8) 
wenigstens eine logische Baugrappe aufweist. 

2. Schutzeinrichtung nach Anspruch 1, dadurch gekennzeichnet, dass die wenigstens 
eine logische Baugruppe als Gatter und/oder als ein Flip-Hop ausgebildet ist. 

3. Schutzeinrichtung nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass die 
logische Baugruppe derart konfiguriert ist, dass ein zeitliches Verhalten eines 
logischen Zustands der logischen Baugruppe veranderbar ist. 

4. Schutzeinrichtung nach Anspruch 3, dadurch gekennzeichnet, dass der Prozessor 
(9) das zeitliche Verhalten verandert. 

5. Schutzeinrichtung nach einem der vorhergehenden Anspruche, dadurch 
gekennzeichnet, dass der Schalter ein Widerstandsnetzwerk aufweist. 

6. Schutzeinrichtung nach einem der Anspruche 1 bis 4, dadurch gekennzeichnet, 
dass der Schalter wenigstens einen Hallsensor aufweist. 

7. Schutzeinrichtung nach einem der vorhergehenden Anspriiche, dadurch 
gekennzeichnet, dass die Energieversorgung des Schalters (1, 19) aus einem 
Steuergerat (4) der Schutzeinrichtung vorgesehen ist. 
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8. Schutzeinrichtung nach einem der Anspriiche 1 bis 6, dadurch gekennzeichnet, 
dass die Energieversorgung des Schalters (19) extern vorgesehen ist. 

9. Schutzeinrichtung nach einem der vorherigen Anspriiche, dadurch gekennzeichnet, 
dass die erfindungsgemaBe Schutzeinrichtung ein Halten des logischen Zustands 
der logischen Baugruppe ermOglicht. 

10. Schutzeinrichtung nach einem der vorherigen Anspriiche, dadurch gekennzeichnet, 
dass der Baustein (8) und der Prozessor (9) mit einem UND-Gatter (10) verbunden 
ist, wobei das UND-Gatter mit einer Ziindkreisansteuerung (12, 13) verbindbar ist. 
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